KnowSafe 安全预警：Redash 默认secret key漏洞（CVE-2021-41192）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2021-41192 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

redash 是一款开源的BI工具，提供了基于web的数据库查询和数据可视化功能。CVE-2021-41192 中，由于redash默认硬编码secret key，导致攻击者可利用secret key生成cookie 或者 重置密码链接，从而登录进入后台，造成远程代码执行或数据泄漏等。

影响范围

应用：redash redash（影响面 Up to (including) 10.0.0）

解决方案

可参考 https://github.com/getredash/redash/security/advisories/GHSA-g8xr-f424-h2rv 进行修复。

参考信息

https://github.com/getredash/redash/commit/ce60d20c4e3d1537581f2f70f1308fe77ab6a214

https://github.com/getredash/redash/security/advisories/GHSA-g8xr-f424-h2rv

https://ian.sh/redash

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。